インターフェイスエンドポイントイベントのアラートを受け取る

通知を作成して、インターフェイスエンドポイントに関連する特定のイベントに関するアラートを受信できます。例えば、接続リクエストが承諾または拒否されたときに E メールを受信できます。

SNS 通知を作成する

次の手順を使用して、通知用の Amazon SNS トピックを作成し、トピックにサブスクライブします。

コンソールを使用してインターフェイスエンドポイントの通知を作成するには

1. Amazon VPC コンソール (https://console.aws.amazon.com/vpc/) を開きます。

2. ナビゲーションペインで、[Endpoints] (エンドポイント) を選択します。

3. インターフェイスエンドポイントを選択します。

4. [Notifications] (通知) タブで、[Create notification] (通知の作成) を選択します。

5. 通知 ARN で、作成した SNS トピックの Amazon リソースネーム (ARN) を選択します。

6. イベントをサブスクライブするには、[Events] (イベント) から選択します。

   • [Connect] (接続) – サービスコンシューマーがインターフェイスエンドポイントを作成しました。これは、接続リクエストをサービスプロバイダーに送信します。

   • [Accept] (承諾) – サービスプロバイダーが接続リクエストを受け入れました。

   • [Reject] (拒否) – サービスプロバイダーが接続リクエストを拒否しました。

   • [Delete] (削除) — サービスコンシューマーがインターフェイスエンドポイントを削除しました。

7. [通知を作成] を選択します。

コマンドラインを使用してインターフェイスエンドポイントの通知を作成するには

• create-vpc-endpoint-connection-notification (AWS CLI)

• New-EC2VpcEndpointConnectionNotification (Tools for Windows PowerShell)

アクセスポリシーを追加する

Amazon SNS トピックにアクセスポリシーを追加して、 がユーザーに代わって通知を発行 AWS PrivateLink できるようにします。次に例を示します。詳細については、「Amazon SNS トピックのアクセスポリシーを編集するにはどうすればよいですか?」を参照してください。aws:SourceArn および aws:SourceAccount グローバル条件キーを使用して、混乱した代理問題に対して保護します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "vpce.amazonaws.com"
      },
      "Action": "SNS:Publish",
      "Resource": "arn:aws:sns:region:account-id:topic-name",
      "Condition": {
        "ArnLike": {
          "aws:SourceArn": "arn:aws:ec2:region:account-id:vpc-endpoint/endpoint-id"
        },
        "StringEquals": {
          "aws:SourceAccount": "account-id"
        }
      }
    }
  ]
}

キーポリシーを追加

暗号化された SNS トピックを使用している場合、KMS キーのリソースポリシーは AWS KMS API オペレーションを呼び出す AWS PrivateLink ために を信頼する必要があります。以下は、キーポリシーの例です。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "vpce.amazonaws.com"
      },
      "Action": [
        "kms:GenerateDataKey*",
        "kms:Decrypt"
      ],
      "Resource": "arn:aws:kms:region:account-id:key/key-id",
      "Condition": {
        "ArnLike": {
          "aws:SourceArn": "arn:aws:ec2:region:account-id:vpc-endpoint/endpoint-id"
        },
        "StringEquals": {
          "aws:SourceAccount": "account-id"
        }
      }
    }
  ]
}